[Gestione delle Credenziali]  [Responsabilità Datoriale]  [Offboarding]

Quanto tempo ha il datore di lavoro per revocare le credenziali di un ex dipendente? La normativa non fissa un’ora esatta ma fissa uno standard di tempestività e immediatezza che la giurisprudenza sta applicando in modo sempre più rigoroso.

1. Il principio di tempestività: contenuto e portata

La normativa, sia il DPR 15/2018 che il GDPR e la normativa NIS2, non fissa un termine espresso in ore o giorni per la revoca delle credenziali dopo la cessazione del rapporto di lavoro o la perdita della qualifica. Tuttavia, utilizza termini inequivoci: ‘immediata comunicazione’, ‘tempestiva disattivazione’, ‘immediatezza dell’azione’. La prassi consolidata, in linea con le indicazioni del Garante per la protezione dei dati personali e con le best practice internazionali (ISO 27001), richiede che la revoca avvenga contestualmente o entro poche ore dalla cessazione.

2. Errore umano occasionale vs. negligenza sistemica

La giurisprudenza ha elaborato una distinzione fondamentale, con rilevanti effetti sulla responsabilità del datore di lavoro:

Le Corti d’Appello di Ancona (n. 18/2021) e di Napoli (n. 4123/2021), riferendosi al settore bancario, hanno affermato che la responsabilità del datore di lavoro è di tipo ‘oggettivo aggravato’ quando si tratta di gestione professionale di dati sensibili: il soggetto si libera solo provando di aver adottato tutte le misure opportune e idonee.

3. L’inversione dell’onere della prova

In caso di danno derivante da accesso non autorizzato reso possibile dalla mancata revoca delle credenziali, l’onere della prova grava sul datore di lavoro: è questi che deve dimostrare di aver adottato misure tecniche e organizzative adeguate e proporzionate. L’assenza di documentazione scritta sulle procedure adottate costituisce elemento a sfavore, che non permette di avvalersi della prova liberatoria. Il Tribunale di Bari (n. 1780/2025) ha ribadito che il datore di lavoro deve fornire la prova positiva di aver valutato autonomamente il rischio e di aver attuato misure idonee.

4. Le cause di esonero: un catalogo ristretto

La responsabilità del datore di lavoro per la mancata revoca può essere esclusa o attenuata solo in presenza di circostanze molto specifiche, la cui prova grava interamente sul datore di lavoro:

• adozione di tutte le misure tecniche e organizzative idonee a prevenire il rischio, secondo lo stato dell’arte;
• evento dannoso causato da una causa esterna imprevedibile e inevitabile, al di fuori della sfera di controllo datoriale (Corte d’Appello L’Aquila, n. 368/2025);
• comportamento colposo del dipendente che, dopo la cessazione, utilizzi indebitamente le credenziali nonostante diffida formale ricevuta (art. 1227 c.c.).

La stipulazione di accordi specifici con il dipendente o la delega della gestione a soggetti esterni NON esonera il datore di lavoro dalla responsabilità, se non è accompagnata da un controllo effettivo dell’esecuzione.

5. Automatizzazione come presidio giuridico

La giurisprudenza più recente suggerisce implicitamente che la prevenzione del rischio di responsabilità passa attraverso la costruzione di procedure automatizzate: disattivazione automatica delle credenziali al momento dell’inserimento della data di cessazione nel sistema HR; alert automatici per credenziali inutilizzate da oltre sei mesi; sistemi di revisione periodica dei profili di autorizzazione. L’automazione non solo riduce il rischio operativo, ma costituisce prova dell’adozione di misure adeguate.

6. La responsabilità in caso di perdita della qualità per cambio di mansioni

La Corte d’Appello di Napoli (n. 418/2025) e la Cassazione penale (n. 43385/2023) hanno specificato che l’obbligo di disattivazione non riguarda solo i casi di cessazione del rapporto, ma anche ogni variazione delle mansioni che faccia venire meno la necessità di accesso a determinati dati. La ‘qualità legittimante’ è funzionale, non formale: si valuta in base alle mansioni effettivamente svolte.